Linux CentOS stream 9 firewalld

随着互联网行业快速发展，服务器成为用户部署网络业务重要的网络工具，但随之而来的就是更密集的网络攻击，这给网站带来了很大的阻碍。防火墙作为保障网络安全的主要设备，可以很好的抵御网络攻击。

防火墙基本上使用硬件和软件两种机制来限制流量。可以使用硬件，如电路级网关、代理服务器、应用网关等，来提供深入的保护。亦可以使用软件，如包过滤等手段，允许/禁止流量。如同时使用软硬件进行防护，效果会更好。本文仅讨论软件机制。

从centos7开始，引入firewalld防火墙管理工具，引入区域概念。相较于原版本一直使用的iptables工具，有重大改变。

对于初次接触防火墙管理的读者，只需关注区域、服务、端口、目标和源等概念，全面使用firewalld工具；而对于使用linux老系统、低版本的读者，则只能尽快熟悉"五表五键"等概念，使用iptables管理工具。

PS:centos7系统默认没有安装iptables工具，想训练其使用，需要单独下载、安装。

防火墙底层原理

管理员在用户态，通过防火墙管理工具来设置防火墙的规则，配置在相关文件中。是否应用或启动，由iptables命令接口传递到内核netfilter模块。需要执行时，防火墙的规则由内核中的netfilter模块具体执行。

当数据包经过防火墙时，系统内核会将客户请求逐一与所设置的规则进行匹配，当匹配成功之后，由防火墙执行规则中定义的行为，如放行、阻止、丢弃等。

配置防火墙就是添加、删除、修改这些规则。例如，设置一条规则，拒绝所有的ICMP数据包，设置好该规则之后，该规则就会保存到内核的netfilter模块，之后所有的ICMP数据包都会被拒绝。

防火墙的规则，早期的CentOS 5/6操作系统默认使用iptables工具，从CentOS 7开始，默认使用firewalld工具。

两个管理工具的底层原理在于，iptables从细节入手，从物理层面设置规则，分析网络连接的各个层次，有表有链等。而firewalld从大处着手，从逻辑层面设置规则与要求。区域、目标、源是其核心概念，而关注端口、服务亦具独特视角。

一个系统中只能选择一项管理工具，不能同时使用。原因在于:iptables允许所有流量通过，只限制指定规则的流量；而firewalld则相反，禁止所有流量通过，只允许符合规则的才允许通过。二者原理与手段完全相左。本文主要讨论firewalld的概念与使用。

一、firewalld服务

在CentOS 7中，新引入了firewalld服务，取代了CentOS 6之前的iptables服务。

1.firewalld特点

比较而言，firewalld允许哪些服务可用，哪些端口可用，属于更高一层的防火墙。firewalld提供了支持网络区域所定义的网络链接以及接口安全等级的动态防火墙管理工具。它支持IPv4、IPv6防火墙设置以及以太网桥（在某些高级服务可能会用到，比如云计算），并且拥有两种配置模式：运行时（Runtime）模式和永久（Permanent）模式。

firewalld是一种动态的、用户友好的Linux防火墙管理工具。相较于传统的iptables，firewalld提供了更灵活、更方便的防火墙配置方式，使得管理员能够更容易地管理网络安全策略。

传统的iptables配置可能比较复杂，尤其是对于新手来说。firewalld通过引入概念化的“区域”、“服务”和“端口”等概念，简化了防火墙的配置。管理员无需深入了解iptables的规则语法，只需使用简单的命令和配置文件就能轻松管理防火墙。

2.firewalld核心概念

区域（Zones）

Firewalld引入了"区域"的概念，用于定义不同的网络区域，每个区域可以有不同的防火墙规则。常见的区域包括public、private、work、home等。默认情况下，网络接口会被分配到public区域。

服务（Services）

服务是一组预定义的规则，用于定义允许通过防火墙的特定网络服务。例如，HTTP、SSH等服务都可以被定义为服务，从而简化防火墙规则的配置。

端口（Ports）

端口用于标识网络通信中的特定应用程序。Firewalld允许你通过端口来控制流入或流出的数据包。可以打开或关闭特定端口，也可以定义自定义端口。

源和目标

firewalld允许你根据数据包的来源和目标来定义规则。这使得你可以限制特定IP地址或地址范围的访问，增强了网络安全性。

3.使用方式

a.firewall-cmd

firewall-cmd是firewalld的字符界面管理工具

可以通过远程连接工具，配置防火墙规则。

b.firewall-config

firewall-config是firewalld的图形用户界面管理工具

在系统桌面中，命令行执行firewall-config命令，打开firewalld的图形用户界面管理工具。

如用远程连接工具，如xshell，执行命令firewall-config，将不能打开图形管理工具，提示在windows系统中安装xmanager，可以直接打开该工具且配置防火墙规则。

c.修改firewalld配置文件

firewalld的配置文件分为主配置文件和区域/服务/端口配置文件。

主配置文件位于/etc/firewalld/firewalld.conf，包含一般的Firewalld设置，如默认区域等。

每个区域都有一个对应的配置文件，位于/etc/firewalld/zones/目录下。这些文件包含特定区域的防火墙规则。